セキュリティアップデート終了後、何が危険になる？
セキュリティパッチが止まったスマホで生じる具体的なリスク（既知の脆弱性放置、WebKit・ブラウザ経由の攻撃、決済アプリの制限）と、サブ機運用の可否を解説します。
「見た目も綺麗だし、動作もサクサク動いているから、セキュリティアップデートが終わったスマホでも使い続けていいのでは？」
そう考える方は少なくありません。画面割れやバッテリーの減りといった「目に見える故障」と違い、セキュリティ更新の終了は「画面上では何の変化も起きない」ため、危機感を抱きにくいのが特徴です。
しかし、セキュリティの専門家や公的機関（IPAやJPCERTなど）が一貫して「サポート終了後の端末を使い続けるべきではない」と警告するのには、明確な技術的根拠があります。
本記事では、セキュリティアップデートが終了したスマートフォンを使い続けると、具体的に何が起きるのか、どのような攻撃を受けるリスクがあるのかを分かりやすく解説します。
リスク1：既知の脆弱性（修正パッチが当たらない穴）が放置される
セキュリティアップデートの最も重要な役割は、システムに発見された「脆弱性（セキュリティホール）」を塞ぐことです。
世界中でセキュリティ研究者や悪意あるハッカーによってOSの欠陥が日々発見されています。メーカーがサポートしている期間中であれば、脆弱性が発見されると数週間以内に修正パッチが配信され、穴が塞がれます。
しかし、サポートが終了すると以下の状態に陥ります。
- 新たに発見された脆弱性が公表される（脆弱性情報データベースに公開される）
- 攻撃者はその脆弱性を悪用する攻撃コード（エクスプロイト）を作成する
- サポート中の端末には修正パッチが届くが、サポート終了端末は穴が開きっぱなしになる
つまり、攻撃者から見れば、「どのような鍵を使えば侵入できるかが公開されている無防備な金庫」と同じ状態になってしまうのです。
リスク2：Webサイトを開いただけで感染・不正侵入される（ブラウザエンジンの脆弱性）
「怪しいサイトを見ないし、不審なアプリもインストールしないから大丈夫」と思っていませんか？
実は、近年のスマートフォンの脆弱性で最も深刻かつ頻繁に狙われているのが、ブラウザの描画エンジン（iOSのWebKitやAndroidのChromiumコンポーネント）の脆弱性です。
ゼロクリック／ワンクリック攻撃の脅威
脆弱性の種類によっては、「不審なファイルをダウンロードする」といった危険な操作をしなくても、以下のような経路で侵害されます。
- 通常の広告ネットワークを通じて配信された悪意あるWeb広告を踏む
- SNSやメッセージに貼られたリンクをブラウザで開く
- Webフォントや画像ファイルを読み込んだだけで、メモリ破壊が発生して任意のコードが実行される
これらは日常的なWeb検索やニュース閲覧の最中でも発生する可能性があり、ユーザー自身の注意深さだけで防ぐことは不可能です。
リスク3：オンラインバンキング・クレジットカード情報の窃取と不正送金
スマートフォンは今や、銀行口座のログイン、ワンタイムパスワードの受取（SMS/認証アプリ）、クレジットカード決済（Apple PayやGoogle Pay）、マイナンバーカードの読み取りなど、個人の最重要資産が集約されたデバイスです。
サポート終了端末では、以下のような被害が現実的な脅威となります。
- キーストロークの監視: 入力したパスワードや暗証番号が裏で盗み見られる
- SMSや2要素認証コードの傍受: 銀行取引の確認コードが悪意あるアプリや不正侵入者に転送される
- 保存された認証セッションのハイジャック: ログイン状態を維持するためのCookieやトークンが抜き取られる
金融機関の公式アプリの多くが、古いOSの動作サポートを厳格に打ち切る理由はまさにここにあります。
「サブ機」や「子どものおもちゃ」「自宅Wi-Fi専用」なら使っても平気？
よくある質問として、「SIMカードを抜いて、自宅のWi-Fiだけで子どもやサブ機として使うなら問題ないか？」というものがあります。
結論：用途を極限まで限定するなら可能だが、放置は危険
Wi-Fi環境であってもインターネットに接続している以上、Web閲覧やアプリの脆弱性を突かれるリスクは残ります。また、自宅のWi-Fiネットワークに侵入された場合、同一ネットワーク上にある家族のPCやスマート家電への踏み台にされるリスクもあります。
もし古い端末を再利用する場合は、以下の条件を徹底してください。
- クレジットカードやApple ID/Googleアカウントのメインアカウントを紐づけない（課金や重要データのない専用アカウントを作成する）
- 銀行、決済、主要SNS（LINEなど）のアカウントを入れない
- 用途を「時計」「音楽再生プレーヤー（ローカル保存）」「Kindle読書専用」など通信や重要データの少ない用途に限定する
まとめ：セキュリティ終了は「引退」の絶対的な境界線
スマートフォンは、どれほど外観が美しく動作が軽快であっても、「セキュリティパッチが届いていること」が前提のインターネット接続機器です。
メーカーからの公式セキュリティアップデートが終了したと判明した端末は、個人情報や決済を預けるメイン端末としての役割を終えた（引退した）と判断し、速やかにサポート期間内の新しい端末へ移行することをおすすめします。